uncle6me-web
8e9bd09072
真因：零件（main.go）給 host function 的接收緩衝區是固定大小（http_request 64KB、
claude_api 1MB）。回應超過這個大小時，wasi-shim 的 writeOut 照寫不誤：
new Uint8Array(buf, outPtr, data.length).set(data)
data 比零件的 outBuf 大 → 覆寫零件堆積體，零件接著 outBuf[:outLen] 切片 panic；
或 writeOut 撞 memory 邊界丟例外 → 回 1 → 零件印一句 "HTTP request failed"。
使用者照那句去查連線／URL／防火牆，方向全錯。
修法（容量握手，不改 host function 簽名、向後相容）：
- 零件呼叫前把 outBuf 長度預先寫進 *outLenPtr（宣告容量）
- host 在寫回前讀這個值當上限；塞不下就**不寫**（不再覆寫零件記憶體），回新的
HOST_TOO_LARGE=3
- http_request host fn 收到 3 → 改寫一段講真話的 error envelope（實際大小＋上限＋
「不是連線失敗」＋分頁/篩選的具體做法＋機器可讀 code/actual_bytes/limit_bytes），
沿用既有 parsed["error"] 判定鏈原樣送到使用者面前
- 舊零件沒宣告容量（讀到 0）→ 維持舊行為。不可硬套 64KB 預設：各零件緩衝區大小不同，
硬套會把原本正常的大回應誤判成「太大」，那只是換一種說謊
同一條路徑上另一個「訊息與真因脫節」一併修：component-loader 的 makeHttpRunner
`try res.json() catch res.text()`，在零件回非 JSON 時 body 已被消費 → 丟
"Body has already been used"，與真因無關（同檔 readBodyOnce 的註解早就寫明這個坑）。
改成只讀一次。
驗證狀態（誠實標示，mindset §7）：
- 通：5 顆零件 tinygo build 全過，wasm 已重編進 .component-builds/
（claude_api 依 .gitignore 慣例不入庫，由部署端重編）
- 未跑：runtime 驗證。本 session 的權限層擋掉 node/vitest/wasmtime，
before/after 實測輸出待人跑 scripts/repro-oversize-response.mjs
- 未做：.worker-builds/ 重編（需 node scripts/build-worker-artifacts.mjs），
否則修法不會進 self-hosted 安裝路徑（Arcrun#93 同款陷阱）
Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
384 lines
12 KiB
Go
384 lines
12 KiB
Go
// auth_static_key — static key auth primitive
|
||
//
|
||
// 讀取 auth_recipe:{service} + 解密 required_secrets + 展開 {{secret.X}} 模板,
|
||
// 回傳 auth_headers / auth_query / auth_body。
|
||
//
|
||
// 所有外部 I/O 都透過 host function:
|
||
// - u6u.kv_get — 依 key 前綴路由到 RECIPES / CREDENTIALS_KV (host 做越權檢查)
|
||
// - u6u.crypto_decrypt — AES-GCM 解密 (encryption key 由 host 持有,不暴露給 WASM)
|
||
//
|
||
//go:build tinygo
|
||
|
||
package main
|
||
|
||
import (
|
||
"encoding/base64"
|
||
"encoding/json"
|
||
"io"
|
||
"os"
|
||
"strings"
|
||
"unsafe"
|
||
)
|
||
|
||
// ── host function 宣告 ───────────────────────────────────────────────────────
|
||
|
||
// kv_get(keyPtr, keyLen, outPtr, outLenPtr) → 0 成功 / 1 錯誤 / 2 找不到
|
||
//
|
||
//go:wasmimport u6u kv_get
|
||
func hostKvGet(
|
||
keyPtr uintptr, keyLen uint32,
|
||
outPtr uintptr, outLenPtr uintptr,
|
||
) uint32
|
||
|
||
// crypto_decrypt(encPtr, encLen, ivPtr, ivLen, outPtr, outLenPtr) → 0 成功
|
||
// enc/iv 為 base64 字串(即 KV 中儲存的格式)
|
||
//
|
||
//go:wasmimport u6u crypto_decrypt
|
||
func hostCryptoDecrypt(
|
||
encPtr uintptr, encLen uint32,
|
||
ivPtr uintptr, ivLen uint32,
|
||
outPtr uintptr, outLenPtr uintptr,
|
||
) uint32
|
||
|
||
// ── 型別 ─────────────────────────────────────────────────────────────────────
|
||
|
||
type Input struct {
|
||
Action string `json:"action"`
|
||
APIKey string `json:"api_key"`
|
||
Service string `json:"service"`
|
||
Request json.RawMessage `json:"request,omitempty"`
|
||
// Names：resolve_credentials action 用——要解密的 credential 名稱清單
|
||
// （用戶在 workflow node.data 寫 {{credential.NAME}} 時，graph-executor 收集後傳入）。
|
||
Names []string `json:"names,omitempty"`
|
||
// ResolvedSecrets：credential-store 遷移 T6/T7 方案 A（D19）——cypher-executor 已從
|
||
// 自己的 per-script secrets（新家）用 secret_get(D1 ref) 取到的明文，key = credential name。
|
||
// 有值就優先用，沒有才 fallback 舊路徑（kv_get {api_key}:cred:{name} + crypto_decrypt），
|
||
// 這個 fallback 就是雙讀（T7）。default（此欄空/nil）行為完全等於遷移前的舊碼。
|
||
ResolvedSecrets map[string]string `json:"resolved_secrets,omitempty"`
|
||
}
|
||
|
||
type SecretRequirement struct {
|
||
Key string `json:"key"`
|
||
Label string `json:"label"`
|
||
Optional bool `json:"optional,omitempty"`
|
||
}
|
||
|
||
type AuthInjectSpec struct {
|
||
Header map[string]string `json:"header,omitempty"`
|
||
Query map[string]string `json:"query,omitempty"`
|
||
Body map[string]string `json:"body,omitempty"`
|
||
// Path：要注入 endpoint URL path 的 secret（如 telegram /bot{token}/）。
|
||
// key = 模板變數名（recipe endpoint 用 {{auth.K}} 引用），value = {{secret.X}} 模板。
|
||
Path map[string]string `json:"path,omitempty"`
|
||
}
|
||
|
||
type AuthRecipe struct {
|
||
Kind string `json:"kind"`
|
||
Service string `json:"service"`
|
||
Primitive string `json:"primitive"`
|
||
RequiredSecrets []SecretRequirement `json:"required_secrets"`
|
||
Inject AuthInjectSpec `json:"inject"`
|
||
}
|
||
|
||
type EncryptedRecord struct {
|
||
Encrypted string `json:"encrypted"`
|
||
IV string `json:"iv"`
|
||
}
|
||
|
||
// ── main ─────────────────────────────────────────────────────────────────────
|
||
|
||
func main() {
|
||
raw, err := io.ReadAll(os.Stdin)
|
||
if err != nil {
|
||
writeError("failed to read stdin: " + err.Error())
|
||
return
|
||
}
|
||
|
||
var input Input
|
||
if err := json.Unmarshal(raw, &input); err != nil {
|
||
writeError("invalid input JSON: " + err.Error())
|
||
return
|
||
}
|
||
|
||
if input.APIKey == "" {
|
||
writeError("api_key 必填")
|
||
return
|
||
}
|
||
|
||
// resolve_credentials：用戶面 {{credential.NAME}} 入口。不查 recipe、不要求 service，
|
||
// 直接給 names 解密回明文。在 service 必填檢查之前分流（只有 authenticate 才需要 recipe）。
|
||
if input.Action == "resolve_credentials" {
|
||
handleResolveCredentials(input)
|
||
return
|
||
}
|
||
|
||
if input.Service == "" {
|
||
writeError("service 必填")
|
||
return
|
||
}
|
||
if input.Action != "" && input.Action != "authenticate" {
|
||
writeError("auth_static_key 僅支援 action=authenticate / resolve_credentials")
|
||
return
|
||
}
|
||
|
||
// 1. 讀 auth recipe
|
||
recipeJSON, status := kvGet("auth_recipe:" + input.Service)
|
||
if status == 2 {
|
||
writeError("找不到 auth recipe: " + input.Service)
|
||
return
|
||
}
|
||
if status != 0 {
|
||
writeError("kv_get 失敗(auth_recipe)")
|
||
return
|
||
}
|
||
|
||
var recipe AuthRecipe
|
||
if err := json.Unmarshal([]byte(recipeJSON), &recipe); err != nil {
|
||
writeError("auth recipe JSON 解析失敗: " + err.Error())
|
||
return
|
||
}
|
||
if recipe.Primitive != "static_key" {
|
||
writeError("auth recipe " + input.Service + " 的 primitive 不是 static_key (是 " + recipe.Primitive + ")")
|
||
return
|
||
}
|
||
|
||
// 2. 解密所有 non-optional required_secrets
|
||
secrets := make(map[string]string)
|
||
for _, req := range recipe.RequiredSecrets {
|
||
if req.Optional {
|
||
continue
|
||
}
|
||
|
||
// T6 方案 A：cypher 已從新家（per-script secrets）取到明文就直接用，不走 KV。
|
||
// input.ResolvedSecrets 為 nil 時此 map 讀取回 ("", false)，行為與遷移前一致。
|
||
if v, ok := input.ResolvedSecrets[req.Key]; ok {
|
||
secrets[req.Key] = v
|
||
continue
|
||
}
|
||
|
||
// T7 雙讀 fallback：新家沒給 → 走舊路徑 kv_get + crypto_decrypt。
|
||
kvKey := input.APIKey + ":cred:" + req.Key
|
||
encJSON, s := kvGet(kvKey)
|
||
if s == 2 {
|
||
writeError("缺少 credential: " + req.Key + " (" + req.Label + ")。修復: 編輯 credentials.yaml 後執行 acr creds push")
|
||
return
|
||
}
|
||
if s != 0 {
|
||
writeError("kv_get 失敗(credential " + req.Key + ")")
|
||
return
|
||
}
|
||
|
||
var rec EncryptedRecord
|
||
if err := json.Unmarshal([]byte(encJSON), &rec); err != nil {
|
||
writeError("credential " + req.Key + " 格式錯誤: " + err.Error())
|
||
return
|
||
}
|
||
|
||
plaintext, ok := cryptoDecrypt(rec.Encrypted, rec.IV)
|
||
if !ok {
|
||
writeError("credential " + req.Key + " 解密失敗")
|
||
return
|
||
}
|
||
secrets[req.Key] = plaintext
|
||
}
|
||
|
||
// 3. 展開模板 (static_key 沒有 runtime,傳空 map)
|
||
runtime := map[string]string{}
|
||
authHeaders := interpolateRecord(recipe.Inject.Header, secrets, runtime)
|
||
authQuery := interpolateRecord(recipe.Inject.Query, secrets, runtime)
|
||
authBody := interpolateRecord(recipe.Inject.Body, secrets, runtime)
|
||
authPath := interpolateRecord(recipe.Inject.Path, secrets, runtime)
|
||
|
||
// 3.5 Basic Auth 自動編碼:若 header 值為 "Basic <x>:<y>" (冒號代表未編碼的 user:pass),
|
||
// 將冒號分隔部分做 base64。這涵蓋 twilio / jira / mailgun 等 Basic Auth recipe。
|
||
// "Basic <already-base64>" (無冒號) 維持原樣,向後相容。
|
||
// header key 不分大小寫比對 "authorization"。
|
||
for k, v := range authHeaders {
|
||
if !strings.EqualFold(k, "Authorization") {
|
||
continue
|
||
}
|
||
const prefix = "Basic "
|
||
if !strings.HasPrefix(v, prefix) {
|
||
continue
|
||
}
|
||
payload := v[len(prefix):]
|
||
if !strings.Contains(payload, ":") {
|
||
continue
|
||
}
|
||
authHeaders[k] = prefix + base64.StdEncoding.EncodeToString([]byte(payload))
|
||
}
|
||
|
||
// 4. 輸出
|
||
out, _ := json.Marshal(map[string]interface{}{
|
||
"success": true,
|
||
"auth_headers": authHeaders,
|
||
"auth_query": authQuery,
|
||
"auth_body": authBody,
|
||
"auth_path": authPath,
|
||
"runtime": runtime,
|
||
})
|
||
os.Stdout.Write(out)
|
||
}
|
||
|
||
// handleResolveCredentials 處理用戶面 {{credential.NAME}} 入口：
|
||
// 對每個 name 讀 {api_key}:cred:{name} + 解密，回傳明文 map。
|
||
// 不查 auth recipe（與 authenticate 分流）。缺任一 name → success:false + error 指明（不假綠）。
|
||
func handleResolveCredentials(input Input) {
|
||
if len(input.Names) == 0 {
|
||
writeError("resolve_credentials 需要 names（要解密的 credential 名稱清單）")
|
||
return
|
||
}
|
||
|
||
credentials := make(map[string]string, len(input.Names))
|
||
for _, name := range input.Names {
|
||
if name == "" {
|
||
continue
|
||
}
|
||
|
||
// T6 方案 A：cypher 已從新家取到明文就直接用（同 authenticate 分支）。
|
||
if v, ok := input.ResolvedSecrets[name]; ok {
|
||
credentials[name] = v
|
||
continue
|
||
}
|
||
|
||
// T7 雙讀 fallback：新家沒給 → 舊路徑 kv_get + crypto_decrypt。
|
||
kvKey := input.APIKey + ":cred:" + name
|
||
encJSON, s := kvGet(kvKey)
|
||
if s == 2 {
|
||
writeError("缺少 credential: " + name + "。修復: 編輯 credentials.yaml 後執行 acr creds push")
|
||
return
|
||
}
|
||
if s != 0 {
|
||
writeError("kv_get 失敗(credential " + name + ")")
|
||
return
|
||
}
|
||
|
||
var rec EncryptedRecord
|
||
if err := json.Unmarshal([]byte(encJSON), &rec); err != nil {
|
||
writeError("credential " + name + " 格式錯誤: " + err.Error())
|
||
return
|
||
}
|
||
|
||
plaintext, ok := cryptoDecrypt(rec.Encrypted, rec.IV)
|
||
if !ok {
|
||
writeError("credential " + name + " 解密失敗")
|
||
return
|
||
}
|
||
credentials[name] = plaintext
|
||
}
|
||
|
||
out, _ := json.Marshal(map[string]interface{}{
|
||
"success": true,
|
||
"credentials": credentials,
|
||
})
|
||
os.Stdout.Write(out)
|
||
}
|
||
|
||
// ── helpers ──────────────────────────────────────────────────────────────────
|
||
|
||
func writeError(msg string) {
|
||
out, _ := json.Marshal(map[string]interface{}{
|
||
"success": false,
|
||
"error": msg,
|
||
"auth_headers": map[string]string{},
|
||
"auth_query": map[string]string{},
|
||
"auth_body": map[string]string{},
|
||
})
|
||
os.Stdout.Write(out)
|
||
}
|
||
|
||
// kvGet 呼叫 host function,回傳 (value, status)。
|
||
// status: 0=成功 1=錯誤 2=找不到 3=值太大塞不進 outBuf（Arcrun#92）
|
||
func kvGet(key string) (string, uint32) {
|
||
keyBytes := []byte(key)
|
||
outBuf := make([]byte, 65536)
|
||
// 容量握手（Arcrun#92）：先把緩衝區大小告訴 host，host 才能在值塞不下時
|
||
// 回 status=3（值太大）而不是硬寫爆這塊記憶體。見 wasi-shim.ts writeOut。
|
||
outLen := uint32(len(outBuf))
|
||
|
||
status := hostKvGet(
|
||
uintptr(unsafe.Pointer(&keyBytes[0])), uint32(len(keyBytes)),
|
||
uintptr(unsafe.Pointer(&outBuf[0])), uintptr(unsafe.Pointer(&outLen)),
|
||
)
|
||
if status != 0 {
|
||
return "", status
|
||
}
|
||
return string(outBuf[:outLen]), 0
|
||
}
|
||
|
||
// cryptoDecrypt 呼叫 host function 做 AES-GCM 解密
|
||
// enc/iv 均為 base64 字串;回傳 UTF-8 plaintext
|
||
func cryptoDecrypt(encB64, ivB64 string) (string, bool) {
|
||
encBytes := []byte(encB64)
|
||
ivBytes := []byte(ivB64)
|
||
outBuf := make([]byte, 65536)
|
||
outLen := uint32(len(outBuf)) // 容量握手（Arcrun#92）
|
||
|
||
// 處理空字串的防呆(TinyGo 取 &[]byte{}[0] 會 panic)
|
||
if len(encBytes) == 0 || len(ivBytes) == 0 {
|
||
return "", false
|
||
}
|
||
|
||
status := hostCryptoDecrypt(
|
||
uintptr(unsafe.Pointer(&encBytes[0])), uint32(len(encBytes)),
|
||
uintptr(unsafe.Pointer(&ivBytes[0])), uint32(len(ivBytes)),
|
||
uintptr(unsafe.Pointer(&outBuf[0])), uintptr(unsafe.Pointer(&outLen)),
|
||
)
|
||
if status != 0 {
|
||
return "", false
|
||
}
|
||
return string(outBuf[:outLen]), true
|
||
}
|
||
|
||
// interpolateTemplate 展開 {{secret.X}} 與 {{runtime.X}}。未知 key 展開為空字串(與 TS 版 parity)。
|
||
// 其他 namespace 的 {{...}} 原樣保留(static_key 不解析)。
|
||
func interpolateTemplate(template string, secrets, runtime map[string]string) string {
|
||
var b strings.Builder
|
||
b.Grow(len(template))
|
||
i := 0
|
||
for i < len(template) {
|
||
start := strings.Index(template[i:], "{{")
|
||
if start < 0 {
|
||
b.WriteString(template[i:])
|
||
break
|
||
}
|
||
b.WriteString(template[i : i+start])
|
||
openIdx := i + start
|
||
closeRel := strings.Index(template[openIdx+2:], "}}")
|
||
if closeRel < 0 {
|
||
b.WriteString(template[openIdx:])
|
||
break
|
||
}
|
||
inner := template[openIdx+2 : openIdx+2+closeRel]
|
||
advance := openIdx + 2 + closeRel + 2
|
||
|
||
switch {
|
||
case strings.HasPrefix(inner, "secret."):
|
||
key := inner[len("secret."):]
|
||
b.WriteString(secrets[key])
|
||
case strings.HasPrefix(inner, "runtime."):
|
||
key := inner[len("runtime."):]
|
||
b.WriteString(runtime[key])
|
||
default:
|
||
// 非本 primitive 負責的 namespace,原樣寫回
|
||
b.WriteString(template[openIdx:advance])
|
||
}
|
||
i = advance
|
||
}
|
||
return b.String()
|
||
}
|
||
|
||
func interpolateRecord(
|
||
record map[string]string,
|
||
secrets, runtime map[string]string,
|
||
) map[string]string {
|
||
if record == nil {
|
||
return map[string]string{}
|
||
}
|
||
result := make(map[string]string, len(record))
|
||
for k, v := range record {
|
||
result[k] = interpolateTemplate(v, secrets, runtime)
|
||
}
|
||
return result
|
||
}
|